DIVISION DE MARSEILLE
Marseille, le 25 février 2013 N/Réf. : CODEP-MRS-2013-010975 Établissement MELOX 
BP 93124 30203 BAGNOLS SUR CÈZE Cedex Objet : Contrôle des installations nucléaires de base. Usine MELOX (INB 151), à Marcoule Inspection no INSSN-MRS-2013-0475 du 29 janvier 2013 Thème « contrôle commande »
Monsieur le directeur, Dans le cadre de la surveillance des installations nucléaires de base prévue aux articles L. 596-1 à L. 596-13 du code de l'environnement, une inspection de votre établissement a eu lieu le 29 janvier 2013 sur le thème mentionné en objet. 

Faisant suite aux constatations formulées à cette occasion par les inspecteurs de l'Autorité de sûreté nucléaire (ASN), j'ai l'honneur de vous communiquer ci-dessous la synthèse de l'inspection ainsi que les principales demandes et observations qui en résultent. 

## Synthèse De L'Inspection

L'inspection du 29 janvier 2013 a été consacrée à l'examen des différents systèmes participant au contrôle commande de l'usine MELOX. Les inspecteurs ont examiné l'organisation mise en place pour assurer le fonctionnement, la maintenance et les adaptations des équipements matériels et logiciels. L'exploitant dispose de procédures et de modes opératoires qui décrivent l'architecture et le fonctionnement des systèmes du contrôle commande ainsi que les tâches et les responsabilités des différents acteurs. Une démarche de pérennisation et de jouvence des équipements matériels et logiciels est déployée sur l'ensemble de l'usine MELOX afin d'assurer la fiabilité des outils de contrôle commande. 

Les modifications et les interventions sur les systèmes ou équipements du contrôle commande sont traitées et tracées selon les moyens habituels. Pour les modifications importantes et les évolutions matérielles et logicielles, il existe un plan qualité logiciel de portée plus générale. Les exemples examinés par les inspecteurs n'ont pas mis en évidence d'écart par rapport au référentiel documentaire applicable. 

En revanche, la visite des salles de conduite a révélé que les pratiques réellement mises en œuvre étaient éloignées des situations théoriques décrites dans les documents présentés aux inspecteurs. Certains modes de fonctionnement des automatismes sont utilisés fréquemment alors qu'ils ne sont pas décrits dans les règles générales d'exploitation. Les règles encadrant le forçage des automates et la gestion des clefs détenues par le chef d'installation et le chef de quart ne sont pas systématiquement respectées. 

## A. Demandes D'Actions Correctives

Dans les salles de conduite de l'usine MELOX se trouvent des clefs permettant le forçage des différents modes de conduite afin d'accéder à des paramètres des systèmes de contrôle commande. Théoriquement, ces clefs correspondent à des niveaux d'autorisation différents (la clef « chef de quart » est utilisée pour des interventions de moindre enjeu que la clef « chef d'installation) selon l'impact sur la sûreté et la sécurité des modifications qu'elles permettent. En pratique, ces clefs se trouvent dans une boite ouverte et leur accès est possible pour tous les agents sans autorisation particulière. De plus, dans la salle de conduite « poudres », les inspecteurs ont constaté la présence de clefs dont les procédures ou les règles générales d'exploitation ne mentionnaient pas l'existence : en plus de la clef « chef de quart » et de la clef 
« chef d'installation » (qui sont prévues par les procédures), il y a une clef « ingénieur méthodes », une clef « armoire ASC » et deux clefs « arrêt d'urgence », ces dernières se trouvant sur un seul et unique porte clefs ; dans ce dernier cas, l'exploitant a signalé qu'une des clefs ne servait pas à l'arrêt d'urgence, sans indication plus précise sur son utilité. 

Enfin, dans la salle de conduite « poudres », un tableau électrique (CCJ 201 CR) permet le forçage des automates et récapitule les modes de conduite de chaque unité du procédé au moyen de verrines vertes (conduite en mode automatique) ou rouges (conduite selon un autre mode) Ce tableau est pourvu de trois serrures, une pour chaque clef de « forçage » : la « clef chef de quart », la clef « ingénieur méthodes » et la clef « chef d'installation », alors que les procédures ne prévoient que deux clefs (clef « chef d'installation » et clef « chef de quart »). Les inspecteurs ont constaté que le tableau ne fonctionnait pas correctement : le test des lampes n'est pas opérationnel, et pour plusieurs unités du procédé, les deux verrines vertes et rouges sont allumées simultanément, ce qui rend impossible la compréhension du fonctionnement des unités. Ce tableau ne remplit plus sa fonction initiale qui est d'offrir une vue rapide et synthétique du mode de fonctionnement des unités « poudres ». A.1. Je vous demande de vous assurer de la cohérence entre la situation constatée sur le terrain et les prescriptions des règles générales d'exploitation. 

En particulier, vous recenserez, pour chaque salle de conduite de l'usine MELOX, 
les clefs de forçage des automates qui peuvent s'y trouver et vous mettrez en place un suivi systématique de leur utilisation, adapté à l'importance de leur niveau d'autorisation. A l'issue de ce recensement, vous rappellerez à toutes les équipes d'exploitation, par consignes ou au travers de formations spécifiques, le rôle et les règles d'utilisation de chaque clef présente en salle de conduite. 

Vous veillerez à ce que ces demandes soient soldées sous six mois et vous me transmettrez un bilan des actions menées. 

A.2. Je vous demande de procéder à la réparation du tableau CCJ 201 CR et de vous assurer que les indications qu'il délivre sont conformes à la situation réelle de chaque unité.

Lors de la visite de la salle de conduite « poudres », les inspecteurs ont consulté le cahier de quart, le registre des demandes d'interventions, le cahier d'utilisation de la clef du chef d'installation. Ces documents doivent permettre de tracer les opérations d'exploitation courante ainsi que les interventions. Dans le cas où des paramètres des automates de conduite doivent être « forcés » momentanément à une valeur autre que leur valeur nominale, pour un contrôle périodique ou un dépannage ponctuel par exemple, il est essentiel de connaître le mode de conduite initial (automatique, semi automatique, manuel, manuel asservi…), le mode d'intervention utilisé (dépannage, dépannage inhibé…) ainsi que la configuration finale 
(automatique, semi automatique, manuel, manuel asservi…). Les inspecteurs ont constaté que ces indications ne figuraient pas dans le cahier d'utilisation de la clef du chef d'installation, ni dans le cahier d'informations capteurs (cahier recensant les shunts). De plus, des opérations jugées banales (comme la pose de shunts dans des automates) ne sont pas systématiquement tracées. 

## A.3. Je Vous Demande De Tracer Toutes Les Interventions Effectuées Sur Les Systèmes De Contrôle Commande Dans Les Documents Opérationnels Prévus À Cet Effet, Afin De Respecter La Spécification Technique 1.5 Des Règles Générales D'Exploitation.

Lors de l'inspection, une intervention était en cours sur un capteur du réseau de transport pneumatique, ce qui avait conduit l'exploitant à activer le mode de conduite « machine figée ». 

Les inspecteurs ont demandé des explications sur ce mode d'intervention qui n'est pas détaillé dans les règles générales d'exploitation. Celui-ci, utilisé pendant les essais de qualification des installations, permet d'interrompre les mouvements du procédé à partir d'un boîtier local ; 
cependant, l'alimentation électrique des équipements électromécaniques est maintenue, ce qui peut entraîner des confusions avec une procédure de consignation. 

Pour les autres modes de conduite éventuellement possibles (arrêt d'urgence, dépannage, dépannage inhibé), et leur correspondance avec l'utilisation des diverses clefs présentes en salle de conduite, les inspecteurs n'ont pas eu d'explications précises de la part de l'exploitant. A.4. Concernant les différents modes de conduite ou d'intervention des systèmes de contrôle commande, je vous demande de mettre en cohérence les pratiques effectives de terrain et les règles générales d'exploitation, le cas échéant en proposant une révision des règles générales d'exploitation. 

En particulier, vous recenserez tous les modes de conduite ou d'intervention possibles des unités du procédé mis en œuvre dans l'usine MELOX. Vous détaillerez le fonctionnement de chaque mode, les asservissements rendus indisponibles, les différents moyens de forçage. 

Les règles générales d'exploitation (chapitre 1) stipulent que « Les maintenances sont faites localement à l'aide d'un équipement spécifique appelé Terminal Industriel, dont l'utilisation est limitée par code d'accès ». Ces équipements, appelés « OP 396 », qui permettent de se connecter sur certains automates, notamment ceux du système de gestion du procédé, sont régulièrement utilisés par les équipes d'exploitation. En pratique, le code permettant leur utilisation est connu de tous les utilisateurs potentiels et les interventions qui sont réalisées grâce à ces terminaux ne sont pas toutes tracées, l'exploitant ayant indiqué qu'elles étaient considérées comme simples, sans enjeu de sûreté et temporaires. Les inspecteurs ont rappelé que, si l'utilisation des terminaux industriels n'est pas remise en question, il convient qu'elle soit effectivement limitée et tracée. A.5. Je vous demande d'assurer la cohérence entre la description donnée dans les règles générales d'exploitation de l'utilisation des terminaux industriels (équipements OP 
396) et la pratique effective actuellement en vigueur. 

Vous m'indiquerez quelles dispositions concrètes vous mettrez en place pour assurer la limitation de l'accès à ces équipements telle que prévue dans les règles générales d'exploitation. Au cours de l'inspection, qui s'est déroulée dans une salle servant également de centre de décision en cas de crise, les inspecteurs ont demandé à consulter l'exemplaire des règles générales d'exploitation qui s'y trouve en permanence. Le chapitre 1 de cet exemplaire n'était pas à la révision en vigueur actuellement. A.6. Je vous demande de mettre à jour régulièrement les documents qui se trouvent dans la salle servant de centre de crise pour l'usine MELOX. 

## B. Compléments D'Information

Le chapitre 1 (paragraphe 1.7.4 « moyens de surveillance ») des règles générales d'exploitation indique : « Les diverses centrales incendie et le poste centralisé incendie situé au PSG sont reliés entre eux par une boucle série…Le fonctionnement automatique à partir du PSG n'est utilisé que lorsqu'il ne présente aucun risque ni pour les personnes ni pour les installations… ; dans le cas contraire, c'est un mode de conduite manuel sur les équipements qui est utilisé ». 

Le déroulement de l'inspection n'a pas permis d'approfondir les questions que les inspecteurs ont soulevées au sujet des automatismes participant à la fonction de sûreté « maîtrise du risque d'incendie ». La formulation des règles générales d'exploitation rappelée ci-dessus ne permet pas de comprendre sans ambiguïté si le mode de fonctionnement (automatique ou manuel) évoqué concerne les automatismes permettant la détection d'incendie ou les automatismes gérant les moyens d'extinction. 

 
B.1. Je vous demande de m'indiquer les paramètres permettant de décider du mode de fonctionnement (automatique ou manuel) des automatismes assurant la détection et l'extinction des incendies. Vous préciserez également comment cette configuration de conduite est notifiée aux équipes d'exploitation qui ne se trouvent pas dans la salle de conduite des utilités (ou PSG : poste de surveillance général). Les inspecteurs ont noté favorablement les actions menées à l'usine MELOX pour assurer la fiabilité des équipements matériels et logiciels du contrôle commande. Ainsi, les équipements sont changés préventivement, des commandes de matériels sont réalisées régulièrement pour anticiper des arrêts de fabrication, et du personnel MELOX assure une partie de la maintenance du matériel et réalise l'évolution de certains logiciels. Les inspecteurs ont noté qu'il existait deux documents encadrant ces activités : une note d'organisation de la pérennité et un plan qualité logiciel. 

B.2. Je vous demande de m'indiquer comment sont prises en compte, dans la note d'organisation de la pérennité et dans le plan qualité logiciel, les exigences de l'arrêté 
« qualité » du 10 août 1984, et notamment les notions d'activités concernées par la qualité et d'éléments importants pour la sûreté. 

## C. Observations

Aucune observation n'a été formulée lors de cette inspection. 

Vous voudrez bien me faire part de vos observations et réponses concernant ces points dans un délai qui, sauf mention contraire, ne devra pas excéder deux mois. Je vous demande d'identifier clairement les engagements que vous seriez amené à prendre et de préciser, pour chacun d'eux, une échéance de réalisation. Dans le cas où, par la suite, vous seriez contraint de modifier l'une de ces échéances, je vous saurais gré de bien vouloir également de m'en informer. 

Je vous prie d'agréer, monsieur le directeur, l'expression de ma considération distinguée. 

## Signe Par

Pour le Président de l'ASN et par délégation Le Chef de la Division de Marseille 

## Pierre Perdiguier
